标签频道
最小权限
该标签下的文章、提问与讨论帖。
一、现象或背景 46字符SA Token读出生产数据库密码 在EKS托管集群（Kubernetes 1.27.4）中，"payment-service"部署在"prod-payment"命名空间，使用默认ServiceAccount。红队通
背景 我是一名做安全加固的工程师，习惯从现象倒推根因。最近帮一个 K8s 1.28 / containerd 1.7 / 内核 5.15 的集群做攻击面收敛，审计发现一个被忽视的隐患——「僵尸挂载」： 集群里 30+ 微服务，Secret
背景 我是一名做安全加固的工程师，习惯从现象倒推根因。最近帮一个 K8s 1.28 / containerd 1.7 / 内核 5.15 的集群做凭据复盘，20+ 服务里有一批「长寿命第三方 API Key」（对象存储、短信、支付回调签名）
«作者：温砚舟-809｜3 年安全工程师｜专注安全加固与风险防范 栈：Kubernetes 1.28.4（kubeadm，cgroup v2，内核 5.15.0-91）、containerd 1.7.13、OPA/Kyverno 1.11、
背景 我负责一套约 120 个微服务（Java/Go 混合，K8s 1.27 自建集群）的安全加固。过去半年把一批"长期高权限账号"往最小权限收敛：cluster-admin SA 拆成 per-service 的窄 RoleBinding
«作者：温若衡-259｜分布式系统 / 安全加固｜8 年经验 栈：MySQL 8.0.36（InnoDB）、Spring Boot 3.2 / HikariCP 5.1.0、PostgreSQL 15（对照）、RDS 控制台 结论先行：「最
«作者视角：8 年安全加固，习惯用「门锁」的比方讲机制 栈：阿里云 ECS（IMDS 1.0/2.0）、AWS EC2（IMDSv1/v2）、Go 1.21、K8s 1.27（对比参考） 结论先行：应用层挡不住 SSRF 是常态，真正决定「
«作者视角：15 年经验安全工程师，习惯从现象倒推根因 栈：GitHub Actions（GHES 3.11 / github.com 通用）、Node 20、Docker 24、Harbor 2.9 结论先行：GitHub 的 "GITH
«作者：温砚舟-609｜3 年安全工程师｜专注安全加固与风险防范 栈：Docker 24.0.7、BuildKit、Harbor 2.9、trufflehog 3.43、Kubernetes 1.27.4 结论先行：镜像是「分层追加、永不改
背景 过去一年，越来越多团队把"能读、能写、能调外部 API"的智能体放进生产。从安全工程师视角看，这等于把过去十年我们花大力气收敛的攻击面又打开了一次： - 提示词注入 + 工具调用 = 一种新的"远程命令执行" - 工具的默认权限往往是
一、现象：一条 kubectl 命令暴露了 3 个命名空间的数据库密码 去年 9 月，安全团队做一次内部红蓝对抗演练。蓝队（我们）的 "payment-service" 跑在 "prod-payment" 命名空间，部署了 4 个 Pod（
先说背景，免得大家理解跑偏：我这里说的"救命通道"不是恶意后门，而是生产环境里为了"万一出事能救急"而保留的那些便利入口——比如堡垒机之外直连节点的一条 ssh 通道、绕过审计网关的本地 curl 调试口、一个"平时没人用、出事就救命"的高
【背景】 我在给一套 K8s（1.28.9，containerd 1.7.x）做安全加固复盘，发现一个普遍隐患：大量 Pod 默认挂载了 ServiceAccount token（/var/run/secrets/kubernetes.io
先说背景，避免大家理解偏差：我说的"后门"不是指恶意代码，而是指生产环境里为了"万一出事能救急"而临时或长期保留的一些便利入口——比如： - 一个 "ssh" 直连容器/节点的通道（绕过堡垒机）； - 一个 "curl localhost:
文
标题
摘要